EuGH schränkt Speicherung von Fluggastdaten deutlich ein

Die bisher mögliche und auch übliche Speicherung von Fluggastdaten war sehr weitgehend. Gespeichert wird nicht nur, wer wohin geflogen ist, sondern auch die Menge des mitgenommenen Gepäcks, das buchende Reisebüro, die Häufigkeit von Flügen eines Passagiers, die Kreditkartennummer u.ä.. Speicherdauer bislang: 5 Jahre.

Fluggastdatenspeicherung nur bei Notwendigkeit zur Gefahrenabwehr

Diese Speichermöglichkeiten schränkt der EuGH nun deutlich ein. Die rechtliche Grundlage der Entscheidung des EuGH ist die sogenannte „Passanger-Name-Record-Richtlinie“ der EU (PNR-EU-Richtlinie 2016/681). Diese legt der EuGH nun - teilweise gegen den Wortlaut der Richtlinie - einschränkend aus und begrenzt damit die Rechte der Behörden auf Speicherung personenbezogener Fluggastdaten auf das zur Abwehr erheblicher Gefahren unbedingt notwendige Maß.

Vorlage an den EuGH durch Belgisches Verfassungsgericht

Ein gemeinnütziger Verein aus Belgien, die „Ligue des droits humains“ (LDH) hatte im Juli 2017 Nichtigkeitsklage gegen die PNR-Richtlinie beim belgischen Verfassungsgerichtshof eingereicht. Dieser hat darauf diverse Fragen zur Auslegung und Anwendung der PNR-Richtlinie dem EuGH zur Beantwortung vorgelegt.

PNR-Richtlinie greift schwerwiegend in EU-Grundrechte ein

Der EuGH hat nun entschieden, dass die PNR-Richtlinie grundsätzlich ihre Gültigkeit behält, aber im Lichte der EU-Grundrechte-Charta (GRCh) restriktiv auszulegen ist. Die Bestimmungen der PNR-Richtlinie enthalten nach der Bewertung des EuGH ein System kontinuierlicher, nicht zielgerichteter und systematischer Überwachung, das die automatisierte Überprüfung personenbezogener Daten sämtlicher Personen einschließt, die Flugreisen unternehmen. Dies bedeute einen schwerwiegenden Eingriff in die durch Art. 7 und 8 der EU-Grundrechte-Charta geschützten Reste der EU-Bürger auf Achtung der Privatsphäre und auf Schutz des Vertrauens in die ausschließlich legitime Verarbeitung personenbezogener Daten.

Terrorbekämpfung kann Grundrechtseingriffe rechtfertigen

Diese Eingriffe in Grundrechte lassen sich nach der Entscheidung des EuGH nur dann rechtfertigen, wenn die nach der Richtlinie vorgesehene Übermittlung, Verarbeitung und Speicherung von Daten auf das für die Bekämpfung terroristischer Straftaten und schwerer Kriminalität absolut Notwendige beschränkt werden. Eine solche grundrechtskonforme Beschränkung sei nach dem Wortlaut der Richtlinie auch möglich, so dass die Gültigkeit der Richtlinie als solche nicht in Frage gestellt sei.

Keine anlasslose Speicherung von Fluggastdaten bei EU-Binnenflügen

Eine der wesentlichsten Einschränkungen bei der Datenspeicherung und Datenverarbeitung ist nach der Entscheidung des EuGH, dass für Flüge innerhalb der EU künftig eine umfassende, anlasslose Speicherung von Passagierdaten nicht mehr zulässig ist. Die Speicherung ist nur in 2 Fällen erlaubt:

• Entweder liegen tatsächliche, auf konkrete Umstände und nicht bloß auf routinemäßige Warnungen der Sicherheitsbehörden gestützte Anhaltspunkte für eine terroristische Bedrohung vor oder
• die Speicherung betrifft sogenannte Verbrecherrouten, d.h. z.B. typische Flugwege für Menschenhändler und Drogenschmuggler.

Innerer Sachzusammenhang zwischen Flug und Gefahrenabwehr erforderlich

Die Fluggastdaten dürfen künftig nur zur Aufklärung und Verhütung schwerer krimineller Straftaten gespeichert werden, wenn zwischen dem Flug und dem kriminellen Verhalten ein innerer Zusammenhang besteht. Das ist zum Beispiel der Fall, wenn ein Drogenkurier oder Schleuser einen Flug zum Drogen- oder Menschenschmuggel oder ein Terrorist den Flug zum Erreichen seines Zielortes nutzt. Darüber hinaus ist die Speicherung von Daten künftig streng auf die im Anhang I zur PNR-Richtlinie enumerativ aufgeführten Informationen beschränkt.

EuGH schränkt den Einsatz von KI im Präventionsbereich ein

Die Vorabüberprüfung der PNR-Daten, die präventiv zur Ermittlung von Personen dient, deren Überprüfung ratsam erscheint, schränkt der EuGH insoweit ein, als ein Abgleich dieser Daten nur mit solchen Datenbanken zulässig ist, die Personen oder Gegenstände betreffen, nach denen bereits gefahndet wird oder die Gegenstand einer Ausschreibung sind. Bei der Festlegung der damit in Zusammenhang stehenden Überprüfungskriterien dürfen keine Algorithmen oder selbstlernende Systeme („machine learning“) eingesetzt werden, die ohne menschliche Einwirkung und Kontrolle Bewertungskriterien selbst schaffen oder verändern können (KI). Der EuGH hält die Fehlerquote solcher automatisierter Verarbeitungen von PNR- Daten für zu hoch und sieht die Gefahr einer erheblichen Zahl unrichtiger „positiver“ Ergebnisse mit hohem Diskriminierungspotenzial und damit der Gefahr eines Verstoßes gegen das Diskriminierungsverbot des Art. 21 GRCh.

5 Jahre Speicherzeit sind nach Auslegung des EuGH nur 6 Monate

Interessant ist die Auslegung des Art. 12 der PNR-Richtlinie durch den EuGH. Dort steht ausdrücklich, dass die Speicherfrist für Fluggastdaten 5 Jahre betrifft. Nach 6 Monaten müssen die Daten allerdings nach Art. 12 Abs. 2 depersonalisiert werden. Die Fünfjahresfrist hat der EuGH ausdrücklich für unverhältnismäßig erklärt. Trotz des Wortlauts sieht das Gericht jedoch die Möglichkeit, durch eine grundrechtskonforme Auslegung die Fünfjahresfrist in eine 6-Monatsfrist umzudeuten. Die Daten der Teilnehmer von EU-Binnenflügen müssen nach Auslegung des EuGH nach dieser Frist komplett gelöscht werden, eine Depersonalisierung reicht nicht aus.

EuGH-Urteil mit Auswirkungen auf alle EU-Mitgliedstaaten

Das Urteil des EuGH betrifft zwar in erster Linie den Vorlagebeschluss des Belgischen Verfassungsgerichtshofs. Auch aus anderen Ländern und auch von deutschen Gerichten liegen dem EuGH diverse Fragen zur Auslegung und Anwendung der PNR-Richtlinie vor. Die Antworten des EuGH dürften in diesen Fällen nicht anders ausfallen. Im Ergebnis kommt dem Urteil damit eine erhebliche Bedeutung für die Praxis der Speicherung von EU-Fluggastdaten in allen EU-Mitgliedstaaten zu.

(EuGH, Urteil v. 21.6.2022, C-817/19)